Деякі питання забезпечення безперервності функціонування державних інформаційних ресурсів

Тип: Постанова

№ 1009

Дата: 06 серпня 2026 р.

Статус: Чинний

КАБІНЕТ МІНІСТРІВ УКРАЇНИ

ПОСТАНОВА

від 6 серпня 2026 р. N 1009

Київ

Деякі питання забезпечення безперервності функціонування державних інформаційних ресурсів

Кабінет Міністрів України постановляє:

1. Внести до постанов Кабінету Міністрів України зміни, що додаються.

2. Міністерствам, іншим центральним органам виконавчої влади, обласним, Київській міській державним (військовим) адміністраціям забезпечити протягом двох місяців з дня набрання чинності цією постановою:

проведення аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) державних інформаційних ресурсів відповідно до Обов'язкових вимог до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, затверджених постановою Кабінету Міністрів України від 21 лютого 2025 р. N 205 "Деякі питання створення, адміністрування та забезпечення функціонування засобу інформатизації" (Офіційний вісник України, 2025 р., N 25, ст. 1666, N 65, ст. 4536);

подання до Міністерства цифрової трансформації інформації про результати аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) державних інформаційних ресурсів, проведеного згідно із абзацом другим цього пункту.

3. Міністерству цифрової трансформації забезпечити:

подання у місячний строк з дня набрання чинності цією постановою до Міністерства економіки та довкілля звернення про визначення централізованої закупівельної організації для проведення тендерів та закупівель за рамковими угодами хмарних послуг та послуг центрів обробки даних в інтересах публічних користувачів хмарних послуг згідно із Законом України "Про публічні закупівлі";

до 1 грудня 2026 р. узагальнити інформацію, подану відповідно до абзацу третього пункту 2 цієї постанови, та подати її Кабінетові Міністрів України;

методичний супровід проведення органами, зазначеними у пунктах 2 і 4 цієї постанови, аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) державних інформаційних ресурсів відповідно до Обов'язкових вимог до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, затверджених постановою Кабінету Міністрів України від 21 лютого 2025 р. N 205.

4. Іншим державним органам, юрисдикція яких поширюється на всю територію України, рекомендувати провести аналіз впливу порушення безперервності виконання робочих процесів (бізнес-процесів) державних інформаційних ресурсів відповідно до Обов'язкових вимог до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, затверджених постановою Кабінету Міністрів України від 21 лютого 2025 р. N 205, про результати якого поінформувати Міністерство цифрової трансформації.

5. Ця постанова набирає чинності з дня її опублікування, крім пункту 1 змін, затверджених цією постановою, який набирає чинності з 1 січня 2027 року.

Прем'єр-міністр України

С. КОРЕЦЬКИЙ

Інд. 81

ЗАТВЕРДЖЕНО

постановою Кабінету Міністрів України

від 6 серпня 2026 р. N 1009

ЗМІНИ,

що вносяться до постанов Кабінету Міністрів України

1. У постанові Кабінету Міністрів України від 2 лютого 2024 р. N 119 "Деякі питання Національної програми інформатизації" (Офіційний вісник України, 2024 р., N 18, ст. 1177; 2025 р., N 64, ст. 4405, N 101, ст. 7133):

1) пункт 6 додатка 3 до Положення про формування та виконання Національної програми інформатизації, затвердженого зазначеною постановою, доповнити підпунктом 11 такого змісту:

"11) виконання окремого завдання, проекту, робіт з інформатизації впливає на забезпечення безперервності виконання функцій, надання послуг або робочих процесів (бізнес-процесів) (так/ні) _____.

У разі відповіді "так" зазначаються:

категорія впливу порушення функціонування засобу інформатизації: ___;

максимально допустимий період порушення функціонування (MTPD): ___;

цільовий час відновлення (RTO): ____;

цільова точка відновлення (RPO): ____;";

2) у Порядку проведення експертизи Національної програми інформатизації та її

складових, затвердженому зазначеною постановою:

у пункті 10:

доповнити пункт після абзацу четвертого новим абзацом такого змісту:

"документи (матеріали), сформовані замовником на стадії ініціювання створення (модернізації, модифікації, розвитку) засобу інформатизації відповідно до Обов'язкових вимог до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, затверджених постановою Кабінету Міністрів України від 21 лютого 2025 р. N 205 "Деякі питання створення, адміністрування та забезпечення функціонування засобу інформатизації" (Офіційний вісник України, 2025 р., N 25, ст. 1666, N 65, ст. 4536);".

У зв'язку з цим абзаци п'ятий - сьомий вважати відповідно абзацами шостим - восьмим;

в останньому абзаці слова "другим і третім" замінити словами "другим - четвертим";

абзаци четвертий і п'ятий пункту 12 замінити абзацами такого змісту:

"Для завдань, проектів, робіт з інформатизації, спрямованих на придбання послуг з адміністрування, технічного супроводу або забезпечення функціонування засобу інформатизації, замовник також подає інформацію про введення засобу інформатизації в експлуатацію.

Для завдань, проектів, робіт з інформатизації, спрямованих на створення (модернізацію, модифікацію, розвиток) інформаційних (автоматизованих) та/або інформаційно-комунікаційних систем, електронних комунікаційних систем, авторизацію систем з безпеки або підтвердження відповідності стандарту інформаційної безпеки за результатами процедури з оцінки відповідності національним стандартам України, додаються:

документи (матеріали), сформовані замовником на стадії ініціювання створення (модернізації, модифікації, розвитку) засобу інформатизації відповідно до Обов'язкових вимог до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, затверджених постановою Кабінету Міністрів України від 21 лютого 2025 р. N 205 "Деякі питання створення, адміністрування та забезпечення функціонування засобу інформатизації" (Офіційний вісник України, 2025 р., N 25, ст. 1666, N 65, ст. 4536);

погодження Адміністрації Держспецзв'язку, надане в порядку, визначеному пунктом 9 Положення про формування та виконання Національної програми інформатизації, затвердженого постановою Кабінету Міністрів України від 2 лютого 2024 р. N 119 "Деякі питання Національної програми інформатизації" (Офіційний вісник України, 2024 р., N 18, ст. 1177; 2025 р., N 64, ст. 4405).

У разі коли замовником є Адміністрація Держспецзв'язку, для проведення експертизи подаються документи, передбачені абзацами другим - шостим цього пункту.";

у пункті 13:

абзац п'ятий замінити абзацами такого змісту:

"Для завдань, проектів, робіт з інформатизації, спрямованих на створення (модернізацію, модифікацію, розвиток) інформаційних (автоматизованих) та/або інформаційно-комунікаційних систем, електронних комунікаційних систем, авторизацію систем з безпеки або підтвердження відповідності стандарту інформаційної безпеки за результатами процедури з оцінки відповідності національним стандартам України, додаються:

У зв'язку з цим абзац шостий вважати абзацом восьмим;

в абзаці восьмому слова "другим - четвертим" замінити словами "другим - шостим";

додаток 1 до Порядку доповнити пунктом 41 такого змісту:

"41. Виконання завдання,

проекту, робіт з інформатизації впливає на забезпечення безперервності виконання функцій, надання послуг або робочих процесів (бізнес-процесів) (так/ні) _____.

У разі відповіді "так" зазначаються:

категорія впливу порушення функціонування засобу інформатизації: ____;

максимально допустимий період порушення функціонування (MTPD): ____;

цільовий час відновлення (RTO): ___;

цільова точка відновлення (RPO): ___.".

2. У постанові Кабінету Міністрів України від 11 лютого 2025 р. N 154 "Деякі питання надання та використання хмарних послуг та/або послуг центру обробки даних" (Офіційний вісник України, 2025 р., N 21, ст. 1383; 2026 р., N 4, ст. 313):

1) абзац другий пункту 2 після слів "публічні користувачі хмарних послуг" доповнити словами "та/або оператори критичної інфраструктури щодо об'єкта критичної інформаційної інфраструктури та власники або розпорядники об'єктів критичної інформаційної інфраструктури";

2) пункт 10 Порядку надання хмарних послуг та/або послуг центру обробки даних, пов'язаних з обробкою державних інформаційних ресурсів або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, затвердженого зазначеною постановою, доповнити абзацом такого змісту:

"Резервування державних інформаційних ресурсів та інформаційних (автоматизованих), інформаційно-комунікаційних та технологічних систем, що перебувають у володінні або розпорядженні користувачів, здійснюється відповідно до Обов'язкових вимог до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, затверджених постановою Кабінету Міністрів України від 21 лютого 2025 р. N 205 "Деякі питання створення, адміністрування та забезпечення функціонування засобу інформатизації" (Офіційний вісник України, 2025 р., N 25, ст. 1666, N 65, ст. 4536)".

3. В Обов'язкових вимогах до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, затверджених постановою Кабінету Міністрів України від 21 лютого 2025 р. N 205 "Деякі питання створення, адміністрування та забезпечення функціонування засобу інформатизації" (Офіційний вісник України, 2025 р., N 25, ст. 1666, N 65, ст. 4536, N 101, ст. 7133; 2026 р., N 31, ст. 2108)":

1) пункт 2 доповнити підпунктами 12, 41, 51, 71, 72, 91, 92 такого змісту:

"12) відновлювальний резерв засобу інформатизації (компонента засобу інформатизації) (далі - відновлювальний резерв) - сукупність резервних копій засобу інформатизації та/або інших попередньо створених та підтримуваних в актуальному стані технічних, програмних, інфраструктурних, хмарних, мережевих та організаційних ресурсів, що забезпечують відновлення функціонування засобу інформатизації (компонента засобу інформатизації) або його окремих критичних функцій у межах визначених цільового часу відновлення (RTO) та цільової точки відновлення (RPO);";

"41) категорія впливу порушення функціонування засобу інформатизації (далі - категорія засобу інформатизації) - характеристика засобу інформатизації, що відображає рівень впливу порушення його функціонування на виконання робочих процесів (бізнес-процесів) замовника;";

"51) максимально допустимий період порушення функціонування (MTPD) - визначений замовником граничний період часу, протягом якого допускається порушення безперервності виконання робочого процесу (бізнес-процесу), функціонування засобу інформатизації та/або компонентів засобу інформатизації, після завершення якого наслідки такого порушення набувають неприйнятного рівня для діяльності замовника;";

"71) цільовий час відновлення (RTO) - максимально допустимий проміжок часу, протягом якого після порушення функціонування засобу інформатизації повинно бути відновлено його працездатність та/або доступність відповідно до встановлених функціональних вимог;

72) цільова точка відновлення (RPO) - визначений замовником період часу, протягом якого допускається втрата даних у разі порушення функціонування засобу інформатизації або припинення його функціонування за умови забезпечення відновлення даних, необхідних для виконання робочих

процесів (бізнес-процесів);";

"91) резервування засобу інформатизації - сукупність заходів, спрямованих на забезпечення створення резервної копії (резервних копій) та/або відновлювального резерву засобу інформатизації, їх зберігання, підтримання в актуальному стані та використання з метою забезпечення безперервності функціонування засобу інформатизації;

92) резервна копія засобу інформатизації - копія інформації, програмного забезпечення, параметрів конфігурації та інших компонентів засобу інформатизації, необхідних для відновлення його функціонування;";

2) у пункті 3:

у підпункті 7 слово "безпечності" замінити словом "захищеності", а після слів "захисту персональних даних" доповнити словами ", шляхом впровадження організаційних і технічних заходів безпеки на всіх стадіях життєвого циклу засобу інформатизації";

доповнити пункт підпунктами 9 і 10 такого змісту:

"9) ризик-орієнтованості - забезпечення функціонування засобу інформатизації з урахуванням результатів оцінки ризиків та категорії засобу інформатизації;

10) стійкості та безперервності функціонування - забезпечення безперервності функціонування засобу інформатизації та своєчасного відновлення його працездатності у разі виникнення кібератак, інцидентів кібербезпеки, відмов, технічних збоїв, аварій, надзвичайних ситуацій та інших дій, що можуть вплинути на його функціонування.";

3) доповнити Обов'язкові вимоги пунктами 31 і 32 такого змісту:

"31. Категорія засобу інформатизації визначається замовником за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації з урахуванням масштабу можливих наслідків порушення його функціонування та потреб щодо забезпечення безперервності виконання робочих процесів (бізнес-процесів).

Встановлюються такі категорії засобів інформатизації:

I категорія - засоби інформатизації, порушення функціонування яких призводить (може призвести) до припинення або суттєвого порушення виконання робочих процесів (бізнес-процесів), визначених замовником як критичні за результатами аналізу впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації, та/або спричиняє (може спричинити) неприйнятні наслідки для діяльності замовника, зокрема неможливість виконання визначених завдань і функцій, порушення надання публічних послуг, втрату або недоступність критичних даних, порушення вимог законодавства чи інші наслідки, визначені замовником як неприйнятні;

II категорія - засоби інформатизації, порушення функціонування яких призводить або може призвести до суттєвого обмеження виконання важливих робочих процесів (бізнес-процесів), визначених замовником як важливі за результатами аналізу впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації, та може спричинити негативні наслідки для діяльності замовника, але не призводить до повного припинення діяльності замовника;

III категорія - засоби інформатизації, порушення функціонування яких впливає на виконання робочих процесів (бізнес-процесів), визначених замовником за результатами аналізу впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації як такі, що мають обмежений вплив на діяльність замовника та не потребують невідкладного відновлення для забезпечення виконання його основних завдань і функцій.

Аналіз впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації проводиться з періодичністю, визначеною замовником, але не рідше одного разу на рік, а також у разі зміни робочих процесів (бізнес-процесів) замовника та/або архітектури засобів інформатизації, що можуть вплинути на результати такого аналізу.

32. Для кожної категорії засобів інформатизації встановлюються такі граничні значення показників:

для I категорії: цільовий час відновлення (RTO)

≤ 8 годин, цільова точка відновлення (RPO)

≤ 4 години;

для II категорії: цільовий час

відновлення (RTO)

≤ 24 години, цільова точка відновлення (RPO)

≤ 12 годин;

для III категорії: цільовий час відновлення (RTO)

≤ 72 години, цільова точка відновлення (RPO)

≤ 24 години.

Граничні значення цільового часу відновлення (RTO) та цільової точки відновлення (RPO), встановлені цим пунктом, є максимально допустимими для відповідної категорії засобу інформатизації.

Замовник за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації визначає для кожного засобу інформатизації значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD).

Визначені замовником значення цільового часу відновлення (RTO) та цільової точки відновлення (RPO) не можуть перевищувати граничних значень, установлених для відповідної категорії засобу інформатизації, крім випадків, передбачених пунктом 101 цих Обов'язкових вимог.

Значення максимально допустимого періоду порушення функціонування (MTPD) повинно бути більшим за значення цільового часу відновлення (RTO) та визначатися з урахуванням максимально допустимого часу, протягом якого порушення виконання відповідного робочого процесу (бізнес-процесу) не призводить до неприйнятних наслідків для діяльності замовника, і не може перевищувати 1,5 граничного значення цільового часу відновлення (RTO), визначеного для відповідного засобу інформатизації.";

4) пункт 10 доповнити абзацом такого змісту:

"До початку виконання наступного етапу або переходу до наступної стадії для засобу інформатизації, життєвий цикл якого розпочався до набрання чинності постановою Кабінету Міністрів України від 6 серпня 2026 р. N 1009 "Деякі питання забезпечення безперервності функціонування державних інформаційних ресурсів", замовник забезпечує проведення аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації, за результатами якого складає звіт за формою згідно з додатком 11, та визначення категорії засобу інформатизації";

5) доповнити Обов'язкові вимоги пунктами 101 і 102 такого змісту:

"101. У разі коли визначені за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та оцінювання пов'язаних з ними засобів інформатизації значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD) перевищують граничні значення, встановлені пунктом 32 цих Обов'язкових вимог, такі значення показників погоджуються замовником з Мінцифри.

Для погодження значень цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD) замовник звертається до Мінцифри листом, в якому зазначаються пояснення щодо неможливості забезпечення дотримання граничних значень цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), опис технічних та організаційних компенсуючих заходів та результати оцінки можливого впливу зміни таких значень показників на безперервність виконання робочих процесів (бізнес-процесів).

До листа додається звіт за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та оцінювання пов'язаних з ними засобів інформатизації за формою згідно з додатком 11.

Подання документів, зазначених у цьому пункті, здійснюється в електронній формі з використанням системи електронної взаємодії органів виконавчої влади або на адресу електронної пошти Мінцифри з накладенням кваліфікованого електронного підпису або удосконаленого електронного підпису, що базується на кваліфікованому сертифікаті електронного підпису керівника замовника або уповноваженої ним особи.

102. Мінцифри опрацьовує документи, подані відповідно до пункту 101 цих Обов'язкових вимог, та протягом 15 робочих днів з дня їх надходження погоджує або не погоджує відповідні значення цільового часу відновлення (RTO),

цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), про що повідомляє замовнику листом, в якому в разі непогодження зазначаються відповідні обґрунтування.

Мінцифри не погоджує значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD) за наявності хоча б однієї з таких підстав:

документи, визначені пунктом 101 цих Обов'язкових вимог, подані замовником не в повному обсязі та/або не містять повної/повних інформації/відомостей;

неузгодженість значень цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), які пропонується погодити, із значеннями цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), визначених за результатами аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації;

недостатність запропонованих технічних та організаційних компенсуючих заходів для забезпечення прийнятного рівня безперервності виконання робочих процесів (бізнес-процесів).

Замовник може усунути невідповідності, що стали підставою для непогодження значення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD), і протягом 10 календарних днів з моменту отримання такого непогодження в разі потреби повторно звернутися за погодженням до Мінцифри.";

6) пункт 11 доповнити підпунктом 9 такого змісту:

"9) вимоги щодо забезпечення інформаційної безпеки та кіберзахисту.";

7) пункт 12 після слів "оброблення інформації з обмеженим доступом," доповнити словами "у тому числі експертна оцінка інформації, яка обробляється (оброблятиметься) на відповідних об'єктах інформатизації,";

8) пункти 15 - 17 викласти в такій редакції:

"15. На етапі формування потреби замовник визначає потребу у створенні (модернізації, модифікації, розвитку) засобу інформатизації шляхом проведення обстеження обраних робочих процесів (бізнес-процесів) та пов'язаних з ними об'єктів інформатизації замовника та здійснює опис інформації, що обробляється (оброблятиметься) на відповідних об'єктах інформатизації відповідно до Законів України "Про інформацію", "Про доступ до публічної інформації", "Про державну таємницю", Порядку організації та забезпечення режиму секретності в державних органах, органах місцевого самоврядування, на підприємствах, в установах і організаціях, затвердженого постановою Кабінету Міністрів України від 18 грудня 2013 р. N 939, Типової інструкції про порядок ведення обліку, зберігання, використання і знищення документів та інших матеріальних носіїв інформації, що містять службову інформацію, затвердженої постановою Кабінету Міністрів України від 19 жовтня 2016 р. N 736 (Офіційний вісник України, 2016 р., N 85, ст. 2783).

Під час проведення обстеження замовник проводить аналіз впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації, за результатами якого складає звіт за формою згідно з додатком 11.

Результати обстеження документуються із зазначенням обґрунтування потреби у створенні (модернізації, модифікації, розвитку) засобу інформатизації. У разі потреби в документах за результатами обстеження також зазначаються очікувані планові показники та розрахунки щодо створення (модернізації, модифікації, розвитку) засобу інформатизації.

На підставі результатів обстеження замовник визначає необхідність створення (модернізації, модифікації, розвитку) засобу інформатизації.

У разі визначення необхідності створення (модернізації, модифікації, розвитку) засобу інформатизації замовником приймається рішення щодо створення (модернізації, модифікації, розвитку) засобу інформатизації шляхом видання організаційного документа, в якому, зокрема, визначається категорія засобу інформатизації, відповідний базовий або галузевий профіль безпеки системи, координатор робіт із

створення (модернізації, модифікації, розвитку) засобу інформатизації (за потреби). Категорія засобу інформатизації може бути уточнена на стадії проектування.

Координатору робіт із створення (модернізації, модифікації, розвитку) засобу інформатизації може бути делеговано право затвердження проектної та експлуатаційної документації.

Базовий або галузевий профіль безпеки системи обирається залежно від типу інформації, що обробляється (оброблятиметься) у засобі інформатизації, відповідно до Порядку розроблення та затвердження профілів безпеки інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем, затвердженого постановою Кабінету Міністрів України від 18 червня 2025 р. N 712 "Деякі питання захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем" (Офіційний вісник України, 2025 р., N 57, ст. 3921).

16. Етап розроблення технічних вимог передбачає підготовку технічних вимог до створення (модернізації, модифікації, розвитку) засобу інформатизації відповідно до примірної структури технічних вимог (додаток 2) та затвердження їх замовником.

Під час розроблення технічних вимог замовник визначає умови розгортання та вимоги щодо забезпечення відмовостійкості (резервування) засобу інформатизації залежно від встановленої категорії засобу інформатизації.

17. Проектування засобу інформатизації передбачає такі етапи:

1) оцінка ризиків та визначення вимог до захисту засобу інформатизації;

2) розроблення технічного завдання.

За потреби стадія проектування може доповнюватися новими етапами залежно від особливостей засобу інформатизації.";

9) доповнити Обов'язкові вимоги пунктом 171 такого змісту:

"171. На етапі оцінки ризиків та визначення вимог до захисту засобу інформатизації замовник забезпечує проведення оцінки ризиків кібербезпеки відповідно до Методики оцінювання ризиків кібербезпеки, затвердженої наказом Адміністрації Держспецзв'язку від 2 червня 2026 р. N 402, з урахуванням положень національних стандартів у сфері управління інформаційною безпекою та оцінювання ризиків.

Результати оцінки ризиків кібербезпеки та аналізу впливу порушення безперервності функціонування робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації враховуються під час визначення архітектурних і технологічних рішень, вимог до захисту інформації, кіберзахисту та забезпечення безперервності функціонування засобу інформатизації, зокрема щодо місця його розгортання, резервування, створення відновлювального резерву, плану аварійного відновлення та сценаріїв тестування відновлення функціонування.";

10) у пункті 18:

абзац третій замінити абзацами такого змісту:

"Під час розроблення технічного завдання на створення (модернізацію, модифікацію, розвиток) засобу інформатизації обов'язковим є:

використання/застосування національних стандартів із переліку стандартів, що застосовуються під час створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації (додаток 4), із зазначенням відомостей про них;

оцінка можливості використання хмарних послуг та/або послуг центрів обробки даних з урахуванням функціональних потреб, вимог до захисту інформації, кіберзахисту, категорії засобу інформатизації, результатів оцінки ризиків кібербезпеки, економічної доцільності, вимог щодо забезпечення безперервності функціонування та відновлення працездатності.

Визначення вимог щодо забезпечення цільового часу відновлення (RTO), цільової точки відновлення (RPO) та максимально допустимого періоду порушення функціонування (MTPD). Забезпечення відмовостійкості (резервування) та відновлення після збоїв залежить від встановленої категорії засобу інформатизації.

Для засобів інформатизації I та II категорії у технічному завданні повинні бути визначені вимоги щодо тестування процедур резервного копіювання, резервування, переключення на резервне середовище функціонування та відновлення функціонування засобу інформатизації відповідно до встановлених значень максимально допустимого періоду порушення функціонування (MTPD),

цільового часу відновлення (RTO) та цільової точки відновлення (RPO) та перелік сценаріїв тестування, періодичність їх проведення, критерії успішності, порядок документування результатів та усунення виявлених недоліків.".

У зв'язку з цим абзаци четвертий - шостий вважати відповідно абзацами восьмим - десятим;

абзац дев'ятий викласти в такій редакції:

"Склад експлуатаційної документації визначається в технічному завданні на створення (модернізацію, модифікацію, розвиток) засобу інформатизації з урахуванням положень національних стандартів із переліку стандартів, що застосовуються під час створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації (додаток 4), та повинен бути достатнім для забезпечення адміністрування та користування засобом інформатизації відповідними категоріями користувачів.";

11) пункт 19 доповнити підпунктом 31 такого змісту:

"31) впровадження системи захисту інформації та заходів з кіберзахисту;";

12) абзац перший пункту 21 після слів "технічних вимог до створення (модернізації, модифікації, розвитку) засобу інформатизації" доповнити словами і цифрами ", з урахуванням Критеріїв критичності товарів, робіт, послуг, що постачаються власникам або розпорядникам інформаційно-комунікаційних систем, у яких обробляються державні інформаційні ресурси або службова інформація та інформація, що становить державну таємницю, об'єктів критичної інформаційної інфраструктури, затверджених наказом Адміністрації Держспецзв'язку від 17 грудня 2025 р. N 836";

13) доповнити Обов'язкові вимоги пунктами 261, 262, 263, 264, 265, 266, 267, 331 такого змісту:

"261. Замовник забезпечує впровадження системи захисту інформації відповідно до цільового профілю безпеки та заходів з кіберзахисту, що, зокрема, передбачає:

1) здійснення визначених цільовим профілем безпеки організаційних та технічних заходів захисту інформації;

2) здійснення заходів із забезпечення безперервності функціонування засобу інформатизації;

3) розроблення, затвердження та підтримання в актуальному стані плану аварійного відновлення;

4) здійснення заходів, визначених планом кіберзахисту.

Заходи, передбачені підпунктами 2 - 4 цього пункту, визначаються з урахуванням установленої категорії засобу інформатизації, результатів аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та пов'язаних з ними засобів інформатизації, а також оцінки ризиків кібербезпеки.

Цільовий профіль безпеки розробляється відповідно до Порядку розроблення та затвердження профілів безпеки інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем, затвердженого постановою Кабінету Міністрів України від 18 червня 2025 р. N 712 "Деякі питання захисту інформаційних, електронних комунікаційних, інформаційно-комунікаційних, технологічних систем", з урахуванням положення про засіб інформатизації (у разі його затвердження), розробленого відповідно до пункту 20 цих Обов'язкових вимог.

262. Заходи із забезпечення безперервності функціонування засобу інформатизації можуть передбачати:

створення та підтримання готовності відновлювального резерву;

резервування компонентів засобу інформатизації;

резервне копіювання та відновлення інформації;

проведення тестування відновлення функціонування та безперервності функціонування засобу інформатизації;

здійснення інших організаційних і технічних заходів, необхідних для забезпечення відновлення функціонування засобу інформатизації у межах установлених значень максимально допустимого періоду порушення функціонування (MTPD), цільового часу відновлення (RTO) та цільової точки відновлення (RPO).

263. Під час створення відновлювального резерву засобу інформатизації (компонента засобу інформатизації) забезпечується:

1) можливість відновлення функціонування засобу інформатизації (компонента засобу інформатизації) у межах установлених значень максимально допустимого періоду порушення функціонування (MTPD), цільового часу відновлення (RTO) та цільової точки відновлення (RPO);

2) можливість відновлення всіх компонентів,

необхідних для відновлення функціонування засобу інформатизації, зокрема програмного забезпечення, даних, конфігурацій, параметрів налаштування, засобів захисту інформації, експлуатаційної та технічної документації;

3) відповідність характеристик відновлювального резерву функціональним і технічним вимогам, необхідним для відновлення функціонування засобу інформатизації;

4) захист відновлювального резерву від несанкціонованого доступу, модифікації, знищення, блокування та інших загроз, що можуть унеможливити його використання;

5) організаційне та технічне відокремлення відновлювального резерву від засобу інформатизації, а також здійснення організаційних і технічних заходів його захисту, достатніх для забезпечення можливості відновлення функціонування засобу інформатизації у межах установлених значень максимально допустимого періоду порушення функціонування (MTPD), цільового часу відновлення (RTO) та цільової точки відновлення (RPO);

6) можливість проведення перевірки готовності відновлювального резерву без порушення функціонування засобу інформатизації.

Під час створення відновлювального резерву забезпечується можливість його масштабування або адаптації у разі зміни встановлених значень максимально допустимого періоду порушення функціонування (MTPD), цільового часу відновлення (RTO) та цільової точки відновлення (RPO) або категорії засобу інформатизації.

264. Підтримання готовності відновлювального резерву (компонента засобу інформатизації) передбачає:

1) забезпечення відповідності характеристик відновлювального резерву вимогам, необхідним для відновлення функціонування засобу інформатизації;

2) підтримання актуальності програмного забезпечення, конфігурацій, даних та інших ресурсів, що входять до складу відновлювального резерву;

3) проведення перевірки працездатності технічних, програмних, мережевих та інших компонентів відновлювального резерву;

4) проведення перевірки працездатності засобів захисту інформації та актуальності параметрів їх налаштування;

5) усунення виявлених недоліків;

6) здійснення інших організаційних і технічних заходів, необхідних для забезпечення можливості відновлення функціонування засобу інформатизації у межах установлених значень максимально допустимого періоду порушення функціонування (MTPD), цільового часу відновлення (RTO) та цільової точки відновлення (RPO).

Готовність відновлювального резерву підтверджується шляхом проведення тестування відновлення працездатності та безперервності функціонування засобу інформатизації відповідно до вимог, визначених у додатку 6.

265. Під час визначення місця розміщення відновлювального резерву та резервних копій інформації, що обробляється у засобі інформатизації I або II категорії, повинна забезпечуватися географічна відокремленість резервного та основного середовищ функціонування засобу інформатизації.

Основне та резервне середовища функціонування засобу інформатизації повинні розміщуватися відповідно до результатів оцінки ризиків у спосіб, що мінімізує ризик одночасного порушення їх функціонування внаслідок дії загроз природного, техногенного, воєнного або іншого характеру.

Для засобів інформатизації I або II категорії, основне середовище функціонування яких розташоване у межах України, не менше одного екземпляра відновлювального резерву повинно розміщуватися у захищеному середовищі функціонування засобу інформатизації за межами України.

Для засобів інформатизації I або II категорії, основне середовище функціонування яких розташоване за межами України, не менше одного екземпляра відновлювального резерву повинно розміщуватися у захищеному середовищі функціонування засобу інформатизації в межах юрисдикції України.

266. Резервні копії інформації, що обробляється у засобі інформатизації, повинні зберігатися із здійсненням організаційних та/або технічних заходів, що унеможливлюють їх одноосібне видалення, зміну або скорочення строку зберігання. Мінімальний строк зберігання резервної копії інформації, що обробляється у засобі інформатизації, становить не менше 48 годин з моменту її створення.

Резервні копії інформації, що обробляється у

засобах інформатизації I, II категорії, що перебувають у володінні або розпорядженні суб'єктів, визначених частиною шостою статті 8 Закону України "Про основні засади забезпечення кібербезпеки України", крім тих, передача яких обмежена законодавством, передаються на зберігання до Національного центру резервування державних інформаційних ресурсів відповідно до Порядку передачі, збереження і доступу до резервних копій національних електронних інформаційних ресурсів, затвердженого постановою Кабінету Міністрів України від 7 квітня 2023 р. N 311 "Деякі питання функціонування Національного центру резервування державних інформаційних ресурсів" (Офіційний вісник України, 2023 р., N 40, ст. 2163).

Передача резервних копій інформації на зберігання до Національного центру резервування державних інформаційних ресурсів не звільняє замовника від обов'язку забезпечити відновлювальний резерв засобу інформатизації.

Резервні копії, передані до Національного центру резервування державних інформаційних ресурсів, можуть враховуватися як елемент відновлювального резерву засобу інформатизації лише за умови, що замовник підтвердив можливість відновлення критичних функцій засобу інформатизації з використанням таких копій у межах встановлених для відповідної категорії засобу інформатизації максимально допустимого періоду порушення функціонування (MTPD), цільового часу відновлення (RTO) та цільової точки відновлення (RPO) шляхом проведення тестування відновлення працездатності та безперервності функціонування засобу інформатизації відповідно до вимог, визначених у додатку 6.

267. План аварійного відновлення повинен містити:

1) підстави та порядок введення плану в дію;

2) порядок відновлення функціонування засобу інформатизації, у тому числі послідовність та пріоритетність здійснення заходів з відновлення;

3) відомості про відповідальних осіб, їх повноваження та порядок взаємодії;

4) порядок взаємодії із залученими сторонами під час відновлення функціонування засобу інформатизації, у тому числі з особами, відповідальними за адміністрування, технічну підтримку, захист інформації та кіберзахист;

5) порядок переходу до штатного режиму функціонування після завершення відновлення;

6) порядок внесення змін до плану аварійного відновлення за результатами тестування відновлення працездатності та безперервності функціонування засобу інформатизації.";

"331. Етап забезпечення захисту інформації засобу інформатизації передбачає організацію замовником проведення тестування відновлення працездатності та безперервності функціонування засобу інформатизації відповідно до плану аварійного відновлення, технічного завдання на створення (модернізацію, модифікацію, розвиток) засобу інформатизації та вимог, визначених у додатку 6.";

14) у додатку 1 до Обов'язкових вимог:

назву графи "Етап" викласти в такій редакції:

"Етап****";

пункт 1 після позиції

розроблення технічних вимог

виконується

за потреби

не застосовується

доповнити такою позицією:

оцінка ризиків та визначення вимог до захисту засобу інформатизації

виконується

за потреби

пункт 3 після позиції

розгортання засобу інформатизації або його компонентів

виконується

за потреби

доповнити такою позицією:

впровадження системи захисту інформації та заходів з кіберзахисту;

виконується

за потреби

доповнити додаток виноскою "****" такого змісту:

"____________

**** У разі застосування гнучких підходів до створення (модернізації, модифікації, розвитку) засобу інформатизації окремі етапи (заходи етапів) життєвого циклу засобу інформатизації можуть виконуватися ітераційно, поетапно або паралельно. У такому разі технічне завдання може містити опис функціональних вимог у вигляді сценаріїв використання, критеріїв прийнятності та критеріїв завершеності виконання робіт. У технічному завданні також можуть визначатися вимоги до автоматизації процесів складання, перевірки,

тестування та розгортання програмних компонентів засобу інформатизації, моніторингу функціонування засобу інформатизації, реєстрації подій та контролю працездатності.";

15) доповнити Обов'язкові вимоги додатком 11 такого змісту:

"Додаток 11

до Обов'язкових вимог

ЗАТВЕРДЖУЮ

__________________________________

(найменування посади керівника замовника)

__________________________________

(підпис, власне ім'я та прізвище)

___ ____________ ____ р.

ЗВІТ*

про результати аналізу впливу порушення безперервності виконання робочих процесів (бізнес-процесів) та оцінювання пов'язаних з ними засобів інформатизації

_____________________________________________________________________________________

(найменування замовника, згідно з кодом ЄДРПОУ)

I. Робочі процеси (бізнес-процеси)

1. Опис робочих процесів (бізнес-процесів) (визначаються робочі процеси (бізнес-процеси), порушення безперервності виконання яких понад встановлений Обов'язковими вимогами до створення (модернізації, модифікації, розвитку), адміністрування та забезпечення функціонування засобу інформатизації, затвердженими постановою Кабінету Міністрів України від 21 лютого 2025 р. N 205 "Деякі питання створення, адміністрування та забезпечення функціонування засобу інформатизації", показник цільового часу відновлення (RTO) для засобів інформатизації III категорії впливу порушення функціонування засобу інформатизації (далі - категорія засобу інформатизації) може призвести до значних негативних наслідків для діяльності замовника)

Поряд-

ковий номер

Наймену-

вання робочого процесу

(бізнес -

процесу)

Мета (призна-

чення) робочого процесу

(бізнес-

процесу)

Власник робочого процесу (бізнес-

процесу)

Відпові-

дальний за забезпечення робочого процесу

(бізнес-

процесу)**

Мінімально прийнят-

ний рівень виконання робочого процесу

(бізнес-

процесу)

Мінімальна кількість людей, необхідна для виконання робочого процесу

(бізнес-

процесу)

2. Наслідки порушення виконання робочих процесів (бізнес-процесів) (заповнюється окремо для кожного робочого процесу (бізнес-процесу). Для кожного зазначеного у пункті 1 цього звіту робочого процесу (бізнес-процесу) визначається рівень впливу порушення безперервності його виконання за такими напрямами оцінювання наслідків:

операційний вплив - наслідки порушення або припинення виконання робочих процесів (бізнес-процесів), зниження ефективності діяльності, виникнення затримок або неможливості виконання визначених функцій, завдань та повноважень, у тому числі щодо надання публічних послуг;

вплив на національну безпеку та обороноздатність держави - наслідки, що можуть негативно вплинути на забезпечення національної безпеки, обороноздатності держави, громадської безпеки, захист державного кордону, функціонування сектору безпеки і оборони, діяльність суб'єктів критичної інфраструктури або виконання державою функцій в умовах кризових ситуацій та особливого періоду;

соціальний вплив - наслідки для життя, здоров'я, прав та законних інтересів фізичних осіб, у тому числі обмеження доступу або затримки у наданні соціальних, медичних, освітніх та інших суспільно важливих послуг, що можуть спричинити соціальну напругу або негативну суспільну реакцію;

правовий та регуляторний вплив - наслідки, пов'язані з порушенням вимог законодавства, міжнародних договорів, договірних зобов'язань або регуляторних вимог, що можуть призвести до застосування заходів реагування, притягнення до юридичної відповідальності або виникнення судових спорів;

інформаційний вплив - наслідки порушення конфіденційності, цілісності або доступності інформації, у тому числі несанкціонованого розголошення, втрати, модифікації інформації, порушення функціонування інформаційних (автоматизованих) та/або інформаційно-комунікаційних систем, електронних комунікаційних систем;

репутаційний вплив - наслідки, пов'язані із зниженням рівня довіри громадян, суб'єктів господарювання, органів державної влади, міжнародних партнерів або формуванням негативного сприйняття діяльності замовника;

фінансово-економічний вплив - наслідки, пов'язані з виникненням фінансових

втрат, бюджетних збитків, додаткових витрат на відновлення діяльності, застосуванням штрафних санкцій або неефективним використанням ресурсів.

Наведений перелік наслідків за відповідними напрямами оцінювання не є вичерпним та може бути доповнений з урахуванням особливостей діяльності замовника, специфіки робочих процесів (бізнес-процесів) та результатів аналізу впливу порушення безперервності їх виконання)

_____________________________________________________________________________________

(найменування робочого процесу (бізнес-процесу)

Категорія впливу

Рівень впливу (незначний / обмежений / суттєвий / критичний)

Наслідки переривання робочого процесу (бізнес-процесу)

Операційний вплив

Вплив на національну безпеку та/або обороноздатність держави

Соціальний вплив

Правовий та регуляторний вплив

Інформаційний вплив

Репутаційний вплив

Фінансово-економічний вплив

Загальний рівень впливу ****

Максимально допустимий період порушення функціонування (MTPD)

3. Залежність робочого процесу (бізнес-процесу) від засобів інформатизації (зазначаються засоби інформатизації (ресурси), порушення функціонування яких унеможливлює або істотно обмежує виконання ідентифікованих у пункті 2 цього звіту робочих процесів (бізнес-процесів) з обмеженим, суттєвим або критичним загальним рівнем впливу. Відомості про робочі процесі (бізнес-процеси) відображаються незалежно від форми права власності чи користування такими засобами)

Порядковий номер

Найменування робочого процесу (бізнес-процесу)

Найменування засобу інформатизації (ресурсу), необхідного для виконання робочого процесу (бізнес-процесу)

Тип залежності (внутрішня / зовнішня)

Рівень залежності робочого процесу (бізнес-процесу) від засобу інформатизації (незначний / обмежений / суттєвий / критичний)

Наслідки порушення доступності

II. Засоби інформатизації (заповнюється для кожного засобу інформатизації окремо)

4. Загальні відомості про засіб інформатизації (зазначаються ідентифіковані у пункті 3 цього звіту засоби інформатизації, що перебувають у власності замовника або використовуються ним на інших законних підставах та мають обмежений, суттєвий або критичний рівень залежності робочого процесу (бізнес-процесу) від засобу інформатизації. Засоби інформатизації, що використовуються виключно для інформаційного, довідкового або допоміжного забезпечення виконання робочого процесу (бізнес-процесу), зазначаються у цьому розділі лише у разі, коли їх недоступність має істотний вплив на виконання такого процесу або призводить до значного сповільнення його виконання)

Найменування засобу інформатизації

Скорочена назва засобу інформатизації (за наявності)

Власник (держатель) засобу інформатизації

Тип засобу інформатизації (інформаційна (автоматизована) система / інформаційно-комунікаційна система / технологічна система / реєстр / вебпортал / електронний сервіс / центр обробки даних / хмарний сервіс / інше

Призначення засобу інформатизації

Основні функції засобу інформатизації

Кількість користувачів (внутрішніх / зовнішніх)

Види інформації, що обробляються засобом інформатизації (відкрита / службова / конфіденційна / державна таємниця / інше

Використання хмарних технологій (так/ні)

Місце розміщення (локальна інфраструктура / власний центр обробки даних / орендований центр обробки даних / хмарна інфраструктура / гібридна інфраструктура)

Рівень критичної інфраструктури (за наявності)

5. Інформація про персонал, залучений до забезпечення безперервності функціонування засобів інформатизації (зазначаються відомості про працівників замовника та/або технічного адміністратора, які забезпечують адміністрування, технічну підтримку, експлуатацію, відновлення функціонування та реагування на порушення роботи засобу інформатизації)

Порядковий номер

Роль у забезпеченні функціонування та відновлення засобу інформатизації

Тип ролі адміністратора (основний / дублюючий)

Власне ім'я та прізвище адміністратора

Посада адміністратора

Контактні дані (робочий та мобільний телефон, адреса

електронної пошти)

6. Активи, необхідні для забезпечення функціонування засобу інформатизації (визначаються інформаційні, програмні, апаратні, технологічні та інші ресурси, необхідні для функціонування засобу інформатизації та забезпечення виконання пов'язаних з ним робочих процесів (бізнес-процесів)

Порядковий номер

Тип активу

Найменування активу

Власник (власне ім'я та прізвище / назва організації / підрозділ)

Рівень впливу (незначний / обмежений / суттєвий / критичний)

Наслідки втрати активу

Дані та інформаційні ресурси

Резервні копії та копії відновлення

Апаратне забезпечення

Віртуальні ресурси та обчислювальні ресурси (віртуальні машини, контейнери, кластерні ресурси)

Програмне забезпечення та програмні компоненти

Ліцензії та права використання програмного забезпечення

Конфігурації, шаблони розгортання та засоби автоматизованого управління інфраструктурою (Infrastructure as Code, IaC)

Інтеграційні ресурси (внутрішні API, шини даних, сервіси інтеграції)

Зовнішні сервіси та сервіси постачальників (SaaS, PaaS, API)

10.

Мережеві ресурси та засоби забезпечення підключення

11.

Облікові записи, ролі та права доступу

12.

Сертифікати, криптографічні ключі та секрети

13.

Журнали подій та аудиту

14.

Експлуатаційна та технічна документація

15.

Інші активи (зазначити)

7. Взаємозв'язки засобу інформатизації (зазначаються внутрішні та зовнішні залежності, необхідні для забезпечення функціонування засобу інформатизації, зокрема від інших засобів інформатизації, інформаційних (автоматизованих) систем, інформаційно-комунікаційних систем, інформаційних ресурсів, технологічних компонентів, інфраструктури, каналів зв'язку, хмарних сервісів, постачальників послуг та інших ресурсів. Включаються лише залежності, порушення функціонування або відсутність яких призводить до припинення чи істотного обмеження функціонування засобу інформатизації або виконання робочих процесів (бізнес-процесів), що ним забезпечуються)

Порядковий номер

Найменування залежності / пов'язаного ресурсу

Власник (держатель) залежності

Тип залежності (інформаційна / технологічна / комунікаційна / інфраструктурна / організаційна / інша) (зазначити)

Наявність договірних або інших зобов'язань щодо забезпечення доступності та відновлення (так/ні, визначені показники SLA / цільовий час відновлення (RTO)

Рівень залежності (низький / середній / високий)

Наслідки порушення або недоступності

8. Оцінка впливу порушення конфіденційності, цілісності та доступності інформації на функціонування засобу інформатизації (оцінювання проводиться з урахуванням видів інформації, що обробляються засобом інформатизації, її значення для виконання визначених робочих процесів (бізнес-процесів), вимог законодавства щодо захисту інформації, а також можливих наслідків у разі несанкціонованого розкриття, зміни, знищення або недоступності інформації)

Властивість інформації

Потенційно можливий рівень впливу

Рівень впливу***** (низький / середній / високий)

Обґрунтування рівня пливу

низький

середній

високий

1. Конфіденційність

несанкціоноване розкриття чи ознайомлення з інформацією може призвести до часткового негативного впливу на робочі процеси (бізнес-процеси) замовника

несанкціоноване розкриття чи ознайомлення з інформацією може призвести до істотного негативного впливу на робочі процеси (бізнес-процеси) замовника

несанкціоноване розкриття чи ознайомлення з інформацією може спричинити тяжкий або катастрофічний вплив на робочі процеси (бізнес-процеси) замовника

2. Цілісність

несанкціонована модифікація чи знищення інформації, що обробляється (оброблятиметься) у засобі інформатизації, може призвести до часткового негативного впливу на робочі процеси (бізнес-процеси) замовника

несанкціонована модифікація чи знищення інформації, що обробляється (оброблятиметься) у засобі інформатизації, може призвести до істотного

негативного впливу на робочі процеси (бізнес-процеси) замовника

несанкціонована модифікація чи знищення інформації, що обробляється (оброблятиметься) у засобі інформатизації, може спричинити тяжкий або катастрофічний вплив на робочі процеси (бізнес-процеси) замовника

3. Доступність

припинення доступу або використання інформації, що обробляється (оброблятиметься) у засобі інформатизації, може призвести до часткового негативного впливу на робочі процеси (бізнес-процеси) замовника

припинення доступу або використання інформації, що обробляється (оброблятиметься) у засобі інформатизації, може призвести до істотного негативного впливу на робочі процеси (бізнес-процеси) замовника

припинення доступу або використання інформації, що обробляється (оброблятиметься) у засобі інформатизації, може призвести до тяжкого або катастрофічного впливу на робочі процеси (бізнес-процеси) замовника

9. Оцінка стану впровадження заходів із забезпечення безперервності функціонування (зазначаються відомості про стан впровадження організаційних та технічних заходів, спрямованих на забезпечення кібербезпеки, кіберстійкості та безперервності функціонування засобу інформатизації. У графі "Додаткова інформація" зазначаються відомості щодо реквізитів документів, дати останнього перегляду або тестування, досягнутих показників, періодичності виконання заходів та інша інформація, необхідна для підтвердження стану їх впровадження)

Найменування показника******

Стан впровадження

Дата останньої перевірки / тестування

Додаткова інформація

Управління безперервністю

1. План забезпечення безперервності діяльності (BCP)

так / ні

реквізити документа, дата затвердження, дата перегляду

2. План відновлення після аварій (DRP)

так / ні

реквізити документа, сценарії відновлення

3. Проведення тестування відновлення функціонування

проводиться / не проводиться

дата останнього тестування, результат, фактично досягнуті цільовий час відновлення (RTO) / цільова точка відновлення (RPO)

Резервування та відновлення

4. Резервне копіювання даних

відсутнє / часткове / повне

періодичність, обсяг резервування

5. Перевірка відновлення з резервних копій

проводиться / не проводиться

результат останнього тестування

6. Захищене резервне копіювання з неможливістю модифікації резервних копій (Immutable Backup)

так / ні

наявність ізольованих або автономних копій

7. Реплікація даних або компонентів засобу інформатизації

так / ні

тип реплікації, режим роботи

Управління доступом

8. Багатофакторна автентифікація (MFA)

так / ні

область застосування, привілейовані облікові записи

9. Управління привілейованим доступом (PAM)

так / ні

контроль та аудит привілейованих облікових записів

10. Управління правами доступу користувачів та адміністраторів засобу інформатизації (RBAC/ABAC)

відсутнє / частково впроваджено / впроваджено

порядок надання та перегляду прав

Архітектура безпеки

11. Архітектура нульової довіри (Zero Trust)

відсутня / частково впроваджено / впроваджено

реалізовані принципи контролю доступу

Моніторинг та реагування

12. Централізований збір та аналіз подій безпеки (SIEM або аналогічні засоби)

відсутній / частковий / повний

джерела подій, період зберігання журналів

13. Управління журналами подій та аудиту

відсутнє / часткове / повне

захист журналів, строк зберігання

Реагування на інциденти

14. План реагування на кіберінциденти (IRP)

так / ні

дата затвердження, дата перегляду

15. Навчання та командно-штабні тренування (Tabletop Exercises)

не проводяться / проводяться

періодичність, дата останнього тренування

Захист кінцевих точок

16. Засоби виявлення та реагування на загрози (EDR/XDR)

відсутні / частково впроваджено / впроваджено

охоплення серверів та робочих станцій

Управління вразливостями

17. Виявлення вразливостей та управління оновленнями безпеки

не здійснюється / здійснюється

періодичність сканування, порядок усунення

Управління залежностями

18. Управління ризиками ланцюга постачання

відсутнє / частково впроваджено / впроваджено

оцінювання

постачальників, SLA, цільовий час відновлення (RTO)

Захист криптографічних ресурсів

19. Управління сертифікатами, ключами та секретами

відсутнє / часткове / повне

порядок зберігання та ротації

III. Вимоги до забезпечення безперервності та відновлення

(заповнюється для кожного засобу інформатизації окремо)

_____________________________________________________________________________________

(найменування засобу інформатизації)

10. Вимоги до відновлення функціонування засобу інформатизації (значення показників відновлення функціонування засобу інформатизації визначаються з урахуванням результатів аналізу впливу порушення виконання робочих процесів (бізнес-процесів), залежностей, визначених активів та встановлених вимог до забезпечення безперервності діяльності)

Найменування показника

Методика визначення показника

Значення

1. Робочі процеси (бізнес-процеси), виконання яких залежить від засобу інформатизації

зазначаються процеси, визначені у пункті 3 цього звіту

2. Максимально допустимий період порушення функціонування (MTPD)

визначається як найменше значення показника максимально допустимого періоду порушення функціонування (MTPD) серед усіх робочих процесів (бізнес-процесів), виконання яких залежить від засобу інформатизації

3. Цільовий час відновлення (RTO)

визначається з урахуванням максимально допустимого періоду порушення функціонування (MTPD) та необхідності відновлення виконання залежних робочих процесів. Цільовий час відновлення (RTO) не повинен перевищувати найменший максимально допустимий період порушення функціонування (MTPD) усіх робочих процесів (бізнес-процесів), виконання яких залежить від засобу інформатизації

4. Цільова точка відновлення (RPO)

визначається з урахуванням критичності інформаційних активів, що обробляються засобом інформатизації, та допустимого впливу втрати або пошкодження даних

5. Мінімальний рівень функціональності засобу інформатизації під час відновлення

визначається перелік функцій або сервісів, доступність яких має бути забезпечена на період відновлення

6. Пріоритетність відновлення компонентів засобу інформатизації

визначається порядок відновлення активів та компонентів відповідно до їх впливу на виконання робочих процесів

7. Допустимий рівень деградації функціонування засобу інформатизації

визначається можливість функціонування у частково обмеженому режимі на період відновлення

8. Додаткові вимоги до відновлення

зазначаються інші вимоги, зумовлені особливостями функціонування засобу інформатизації

11. Вимоги до резервування (відомості зазначаються щодо активів засобу інформатизації, визначених у пункті 6 цього звіту, порушення функціонування або втрата яких може призвести до неможливості виконання робочих процесів (бізнес-процесів) або недотримання встановлених у пункті 10 цього звіту показників безперервності діяльності (максимально допустимого періоду порушення функціонування (MTPD), цільового часу відновлення (RTO), цільової точки відновлення (RPO)

Тип активу